CN104660607B - 一种二维路由协议的实现方法和使用该协议的装置 - Google Patents

Abstract

本发明涉及路由传输技术领域，提供了一种二维路由协议的实现方法，路由网络中的各路由器根据安全等级设置有各自的安全权值，入口路由器在接收到需要发往出口路由器的数据报文，并为此数据报文的发送建立传输路径时，所述方法包括：入口路由器以泛洪方式向路由网络发送携带源前缀和目的前缀的二维通告报告；入口路由器接收路由网络中各路由器返回的二维通告响应，所述二维通告响应中携带各路由器的路径权值和安全权值；根据所述路径权值和安全权值计算出综合权值最优的传输路径；通过所述传输路径传递所述数据报文。本发明权衡了最短传输路径和传输路径安全性双项指标，提高了现有的路由网络中数据包的传输安全性。

Description

一种二维路由协议的实现方法和使用该协议的装置

【技术领域】

本发明涉及路由传输技术领域，特别是涉及一种二维路由协议的实现方法和使用该协议的装置。

【背景技术】

随着网络的发展，网络的需求也日益个性化。比如在家庭网络中，无论是设备的数量，或复杂性都比已往大幅度增长。现在的家庭网络可能包含有线或无线的设备，可能需要将具有隐私特性的数据报文沿某条指定路径传输，或将非隐私特性的数据报文沿另外一条路径传输。在传统的家庭网络里，网络拓扑非常简单，一般只需在出口处放置一台路由器并在里面设置一条默认路由即可。

传统的基于目的地址的路由协议已无法满足用户的需求，比如无法解决网络中的严重的安全问题，传统的路由协议只查看目的地址，对所有的源一视同仁，但在现实中，有的源地址属于恶意的攻击者，是不应该到达当前考虑的目的地址的。鉴于此，克服该现有技术所存在的缺陷是本技术领域亟待解决的问题。

【发明内容】

本发明所要解决的技术问题是，如何能够基于现有的路由链路计算方法，推出安全性能更高的路由网络的数据报文传递方法。

本发明为了解决所述技术问题，一方面提供了一种二维路由协议的实现方法，其特征在于，路由网络中的各路由器根据安全等级设置有各自的安全权值，所述方法包括：

入口路由器以泛洪方式向路由网络发送携带源前缀和目的前缀的二维通告报告，所述源前缀和目的前缀分别为所述入口路由器和所述出口路由器的网络地址；入口路由器接收路由网络中各路由器返回的二维通告响应，所述二维通告响应中携带各路由器的路径权值和安全权值；根据所述路径权值和安全权值计算出综合权值最优的传输路径；通过所述传输路径传递所述数据报文；所述传输路径上的路由器均有所述路由网络中的链路状态信息。

优选的，所述根据所述路径权值和安全权值计算出综合权值最优的传输路径，具体包括：

依据路由器中记录的邻居路由器信息，建立路径二叉树，所述路径二叉树中节点间的距离由所述路径权值表示；根据所述路径二叉树，计算从入口路由器到出口路由器的一条或者多条传输路径的路径距离；获取在相应传输路径上的路由器的安全权值，将所述安全权值累加到对应传输路径的路径距离，得到该传输路径的综合权值；比较各传输路径的综合权值得到对应最优的传输路径。

优选的，所述通过所述传输路径传递所述数据报文，具体包括：所述传输路径上的路由器，接收所述数据报文；获取所述数据报文中携带的源前缀和目的前缀；匹配所述目的前缀和源前缀，以便确认对应所述目的前缀和源前缀的传输路径；校验所述源前缀的安全性，校验通过时向所述传输路径中自身的下游路由器转发所述数据报文。

优选的，所述方法还包括：路由网络中路由器接收到所述二维通告报告；校验所述源前缀的安全性，并在校验不通过时，返回携带校验不通过信息的二维通告响应给所述入口路由器。

优选的，所述路由网络中的各路由器的安全权值，具体为：由操作人员根据各路由器的安全等级，设置相应的安全值。

优选的，所述入口路由器和所述出口路由器的网络地址，具体为：所述入口路由器的网络地址由入口路由器的IP地址字段和入口路由器的IP地址掩码字段构成；所述出口路由器的网络地址由出口路由器的IP地址字段和出口路由器的IP地址掩码字段构成。

本发明为了解决所述技术问题，另一方面提供了一种二维路由协议的实现方法，其特征在于，路由网络中的各路由器根据安全等级设置有各自的安全权值，所述方法包括：

出口路由器接收传输路径上路由器传递过来的数据报文；获取所述数据报文中携带的源前缀和目的前缀；校验所述源前缀对应的路由器的安全性；确认安全性可靠时，转发所述数据报文给目的终端。

优选的，所述校验所述源前缀的安全性，具体包括：根据所述源前缀，遍历所述出口路由器中存储的黑名单；当在所述黑名单中查找到所述源前缀时，则确认所述源前缀对应的路由器的安全性是不可靠的；当在所述黑名单中未查找到所述源前缀时，则确认所述源前缀对应的路由器的安全性是可靠的。

优选的，当目的终端上报发送所述数据报文的入口路由器的有安全性问题时，所述方法还包括：所述出口路由器在所述存储的黑名单中记录所述源前缀。

与现有技术相比，本发明的有益效果在于：本发明通过在现有路由协议的数据报文中增设源前缀的方式，结合路由网络中针对各个路由器设置的安全权值，并将所述安全权值纳入传输路径的计算，从而权衡了最短传输路径和传输路径安全性双项指标，提高了现有的路由网络中数据包的传输安全性。

【附图说明】

图1是本发明实施例提供的一种二维路由协议的实现方法的流程图；

图2是本发明实施例提供的一种获取最优传输路径方法的流程图；

图3是本发明实施例提供的一种路由网络中的二叉树的示意图；

图4是本发明实施例提供的一种传输路径上路由器的实现方式的流程图；

图5是本发明实施例提供的一种出口路由器的实现方法的流程图；

图6是本发明实施例提供的一种适用于二维路由协议的装置结构示意图；

图7是本发明实施例提供的一种适用于二维路由协议的装置结构示意图；

图8是本发明实施例提供的一种调整后的二维通告报文的结构示意图。

【具体实施方式】

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

实施例1：

本发明实施例1提供了一种二维路由协议的实现方法，其中，路由网络中的各路由器根据安全等级设置有各自的安全权值，入口路由器在接收到需要发往出口路由器的数据报文，并为此数据报文的发送建立传输路径时，如图1所示，所述方法包括：

在步骤201中，入口路由器以泛洪方式向路由网络发送携带源前缀和目的前缀的二维通告报告。

其中，所述源前缀和目的前缀分别为所述入口路由器和所述出口路由器的网络地址。所述入口路由器为路由网络中发送数据报文的路由器；所述出口路由器为路由网络中目的终端侧的路由器，例如：所述出口路由器为与所述目的终端直连的路由器。

在开放式最短路径优先(Open Shortest Path First)OSPF协议中，所述二维通告报告具体可以是基于协议中的Hello报文改进得到，即在所述Hello报文的报头增加携带所述源前缀和目的前缀的字段。

在步骤202中，入口路由器接收路由网络中各路由器返回的二维通告响应，所述二维通告响应中携带各路由器的路径权值和安全权值。

其中，在基于OSPF协议的实现中，所述二维通告响应可以通过LSAck报文改进得到，即在所述LSAck报文携带的主体内容中增加各路由器的安全权值。

在步骤203中，根据所述路径权值和安全权值计算出综合权值最优的传输路径。

基于本实施例，给出步骤203中计算综合权值最简单的实现方式，即将现有的计算出的传输路径的路径权值总和，累加上归属于所述传输路径上各路由器的安全权值，即可得到一种综合权值。倘若安全权值越低对应路由器的安全性能越高，路径权值越低表明对应两个路由器间数据报文传递效率越高，则所述综合权值最优的传输路径即得到计算结果值最优的一条传输路径。

上述最优的综合权值的计算方式仅仅是一种可能实现方案的举例，本领域技术人员能够基于所公开的内容基础上合理的推断出其它可能方案，例如：安全权值越高对应路由器的安全性能越高，路径权值越低对应数据报文传递效率越高等等情况，都在本发明的保护范围之内，在此不一一赘述。

在步骤204中，通过所述传输路径传递所述数据报文。

在基于OSPF协议的实现中，传输路径上的路由器都拥有路由网络中的链路状态信息，因此，即可以沿用由入口路由器计算出来的传输路径；也可以在路由网络中里链路状态发生改变时，自行更新并计算出到达所述出口路由器的新的最优的传输路径。

本发明实施例1除了可以基于OSPF协议实现外，还可以是基于中间系统到中间系统(Intermediate system to intermediate system，简写为：ISIS)协议实现，其中和本实施例方法相关的内容与OSPF协议类似，在此不一一赘述。

本发明实施例1除了可以基于OSPF协议或ISIS协议实现外，还可以基于距离向量路由协议来实现，具体的，在距离向量路由协议中仅存在有一个网络列表，其中列出了通往各个网络的路径权值(也称为：开销或者距离)和下一跳路由器(也称为：方向)，则所述传输路径上各路由器在获取到所述网络列表后，即会按照所述网络列表中的路由器的链路关系传递数据报文。

本发明实施例通过在现有路由协议的数据报文中增设源前缀的方式，结合路由网络中针对各个路由器设置的安全权值，并将所述安全权值纳入传输路径的计算，从而权衡了最短传输路径和传输路径安全性双项指标，提高了现有的路由网络中数据包的传输安全性。

为了进一步的阐述本实施例1中，如何实现所述根据所述路径权值和安全权值计算出综合权值最优的传输路径，在一种可行的方案中，如图2所示，具体由以下步骤实现：

在步骤301中，依据路由器中记录的邻居路由器信息，建立路径二叉树，所述路径二叉树中节点间的距离由所述路径权值表示。

如图3所示，是根据一种简单路由网络(图3中的I部分)生成的路径二叉树(图3中的II部分)的示意图。其中，I部分中各路由器节点之间的数值为它们之间的路径权值。其中，由于篇幅的问题，该二叉树仅仅列出了比较典型的几条树枝和相应的叶节点。

在步骤302中，根据所述路径二叉树，计算从入口路由器到出口路由器的一条或者多条传输路径的路径距离。

以图3所示，其中由路由器a到达路由器e的传输路径可以是a－h－g－f－e，也可以是a－b－c－d－e，还可以是a－h－g－f－d－e等等，通过计算可以结算完成所有可能的传输路径的路径距离，例如：a－h－g－f－e的路径距离为8+1+2+10＝21。

在步骤303中，获取在相应传输路径上的路由器的安全权值，将所述安全权值累加到对应传输路径的路径距离，得到该传输路径的综合权值。

以图3所示，假设a－g的安全权值为1，h－i的安全权值为4，并且对应安全权值越大表明路由器的安全性能越差，则在使用最简单的累加求和方式中，传输路径a－h－g－f－e的综合权值＝25+4+1+1＝31(计算时去掉了入口路由器的安全权值和出口路由器的安全权值)，依此类推可以计算得到其它传输路径的综合权值。

其中，所述将所述安全权值累加到对应传输路径的路径距离，可以是上述例子列举的简单的累加，也可以是根据路径距离和路径安全性的侧重的不同，基于侧重因子的调整，完成所述累加过程，即侧重因子＊(路由器1的安全权值+路由器2的安全权值+…+路由器n的安全权值)，所述侧重因子可以是由操作人员制定。

在步骤304中，比较各传输路径的综合权值得到对应最优的传输路径。

在以图3为例的简单实例中，可以计算得到各传输路径的综合权值最优的，即综合权值最优的传输路径为a－h－g－f－e。

在基于OSPF协议实现的具体实现方式中，所述步骤301－步骤304的实现，可以是基于现有的最短路径优先(Shortest Path First，简写为：SPF)算法实现，所述SPF算法中仅考虑了所述路径距离一个因素，而通过所述步骤301－步骤304公开的内容的基础上，本领域技术人员能够很容易的建安全权值因素添加到所述SPF算法中，因此，在此不做一一赘述。

作为本实施例方案的补充，对于所述通过所述传输路径传递所述数据报文，在一种具体实现方式中，针对传输路径上的路由器，在接收到所述数据报文时的处理方法，如图4所示，具体包括以下步骤：

在步骤401中，接收所述数据报文。

在步骤402中，获取所述数据报文中携带的源前缀和目的前缀。

在步骤403中，匹配所述目的前缀和源前缀，以便确认对应所述目的前缀和源前缀的传输路径。

在可选的方案中，步骤403也可以执行为：匹配所述目的前缀，以便确认对应所述目的前缀的传输路径。

在基于OSPF协议的实现方式中，所述确认对应所述目的前缀和源前缀的传输路径，具体的是通过重新计算以自身作为二叉树的根节点，重新计算出到达该出口路由器的最优传输路径。该方式可以参考步骤302中具体实现方式，在此不再赘述。

在步骤404中，校验所述源前缀的安全性，校验通过时向所述传输路径中自身的下游路由器转发所述数据报文。

其中，所述下游路由器为根据所述传输路径依次排列下来，紧接着当前路由器的下一个路由器。

在实施例1的步骤202中描述了二维通告响应中携带路由的路径权值和所述安全权值的情况，并且，后续的步骤203和步骤204也是基于该步骤202基础上实现的。因此，本实施例1存在一种扩展的方案，其中，各路由器在接收到二维通告报文时，便对该二维通告报文中携带的源前缀进行安全校验，从而能够实现针对存在安全性问题的入口路由，便采取安全措施，具体的所述步骤202的方法还可以执行为：

在步骤501中，路由网络中路由器接收到所述二维通告报告。

具体的，由于入口路由器采用的泛洪方式发送二维通告报告，因此，路由网络中路由器所接收到的二维通告报告可以是来自所述入口路由器，也可以是来自路由网络中其他的路由器。因此，所述路由网络中路由器接收到所述二维通告报告，是其中的一种情况。

在步骤502中，校验所述源前缀的安全性，并在校验不通过时，返回携带校验不通过信息的二维通告响应给所述入口路由器。

此时，实施例1中后续的步骤203－204也将不再执行，即所述返回的二维通告响应中将不再携带建立数据链路所需的链路状态信息，于是入口路由器所请求发往出口路由器的数据报将以失败结束。

本实施例以及相关扩展实现方案中，所述路由网络中的各路由器的安全权值，具体可以是由操作人员根据各路由器的安全等级，设置相应的安全值。

本实施例中各扩展方案在可选的情况下，都可以作为独立的方案来实现。其中，本实施例步骤201－204所公开的方案主要针对入口路由器在接收到需要发往出口路由器的数据报文，并为此数据报文的发送建立传输路径时的情形，则后续入口路由器连续传输数据报文给所述出口路由器时，则可基于该已经确定的传输路径(当路由器网络的链路状态发生变化时，才需要重新计算传输路径)。

还需要补充的是，本实施例中给出的路由器安全权值并不局限于路由器自身，所述路由器安全权值还可以受到路由器之间安全性能影响，例如：相同厂家，相同型号的路由器之间传递时，其安全权值便可以设置的更低一些，即更安全。

实施例2：

本发明实施例1中提出了一种二维路由协议的实现方法，其主体方案步骤201－204是如何获取一条安全、效率综合最优的传输路径，在其扩展实现方案中也涉及了由路由网络中在其传输路径上的路由器进行安全校验的方案(步骤401－404)，然而，实际实现过程中，操作人员所拥有的权限可能仅存在于出口路由器上，而对于传输路径上其他路由器没有设置黑名单的功能(常见于出口路由器作为个人用户使用的路由器时)。因此，本实施例2提出了一种针对出口路由器，如何解决路由器安全性问题的方法，其中，路由网络中的各路由器根据安全等级设置有各自的安全权值，如图5所述，方法包括以下步骤：

在步骤601中，出口路由器接收传输路径上路由器传递过来的数据报文。

在步骤602中，获取所述数据报文中携带的源前缀和目的前缀。

在步骤603中，校验所述源前缀对应的路由器的安全性。

在步骤604中，确认安全性可靠时，转发所述数据报文给目的终端。

本扩展实现方式，通过出口路器的安全校验，基于传输路径上目的路由器的拦截，实现了操作人员所设定的不具有可靠安全性的路由器(源前缀)发送过来的数据报文不会抵达目的终端。

结合本实施例，所述校验所述源前缀的安全性，存在一种可行的方案，如图7所示，具体包括以下步骤：

在步骤701中，根据所述源前缀，遍历所述出口路由器中存储的黑名单。

在步骤702中，确定在所述黑名单中是否查找到所述源前缀，查找到时则确认所述源前缀对应的路由器的安全性是不可靠的；未查找到所述源前缀时，则确认所述源前缀对应的路由器的安全性是可靠的。

结合本实施例2还存在一种扩展方案，即如何根据目的终端上报发送所述数据报文的入口路由器的有安全性问题时，完成对应黑名单的更新，具体的为所述出口路由器在所述存储的黑名单中记录所述源前缀。

本实施其他相关具体实现方式可以参考实施例1中其他扩展实现方式，在此不一一赘述。

实施例3：

本发明实施例还提供了一种适用于二维路由协议的装置，如图6所示，包括存储装置1、输入输出装置2、处理装置3，所述存储装置连接所述处理装置，所述输入输出装置连接所述处理装置，具体的：

所述存储装置1，用于存储黑名单，所述黑名单包括存在安全性问题的路由器的网络地址。

所述输入输出装置2，用于接收传输路径上路由器传递过来的数据报文。

所述处理装置3，用于获取所述数据报文中携带的源前缀和目的前缀；校验所述源前缀对应的路由器的安全性；确认安全性可靠时，利用所述输入输出装置2转发所述数据报文给目的终端。

值得说明的是，上述装置和系统内的模块、单元之间的信息交互、执行过程等内容，由于与本发明的处理方法实施例基于同一构思，具体内容可参见本发明方法实施例1和实施例2中的叙述，此处不再赘述。

如图7所示，基于OSPF协议实现本实施例，并能够兼容现有OSPF协议的装置结构示意图。其中，将本实施例中包含有目的前缀和源前缀的链路状态广播(Link－StateAdvertisement，简写为：LSA)报文，对应保存在所述存储装置1中的位置称为扩展链路状态数据库(Link State DataBase，简写为：LSDB)，以便与现有OSPF协议中的LSDB(也称为传统LSDB)区分开。具体的，由处理装置根据接收到的是传统的LSA报文还是本发明提出的二维通告报文，来确定将对应报文中内容存储在该传统LSDB或者存储在该扩展LSDB中。所述处理装置3还用于运行SPF算法，并将计算出来的最有传输路径存储于存储器装置1中(如图7中二维路由择域信息库(Routing Information Base，简写为：RIB)所示)。所述输入输出装置2在泛洪阶段，还用于向网络中其他路由器发送二维通告报文或者LSA报文。

实施例4：

本实施例基于开源路由器Quagaa中的OSPFv3协议，给出了如何调整该协议，以便支持本发明各实施中方法，具体的，扩展了原来OSPF中三种类型的LSA报文，包括Intra－Area－Prefix－LSA、Inter－Area－Prefix－LSA和AS－External－LSA，以传递包含源前缀和目的前缀的LSA报文(即二维通告报文)，扩展后的LSA的格式如图8所示。

路由器收到这几种类型的LSA后，会将其保存到一个扩展的LSDB中，而其它的传统的LSA将被保存在传统的LSDB中，参考图7存储装置1所示。在进行路由计算的时候，路由器首先根据最短路径优先PSF算法计算出以该路由器为根结点的最短生成树。然后结合传统LSDB计算到达某个目的前缀的路径(兼容现有OSPF协议的实现方法)；或者结合扩展LSDB，计算出由某个源前缀去往某个目的前缀的路径，其中，所示扩展LSDB中存储有各路由器的安全权值。最后路由器会将计算结果更新到路由表中，此处的路由表较传统的路由表上添加了源前缀的信息。在路由表发生更新的时候，控制层会通过调用数据层的更新接口，往ACL表中添加或删除表项，使转发表和路由表一致。

本领域普通技术人员可以理解实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：只读存储器(ROM，Read Only Memory)、随机存取存储器(RAM，Random AccessMemory)、磁盘或光盘等。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种二维路由协议的实现方法，其特征在于，路由网络中的各路由器根据安全等级设置有各自的安全权值，所述方法包括：

入口路由器以泛洪方式向路由网络发送携带源前缀和目的前缀的二维通告报告，所述源前缀和目的前缀分别为所述入口路由器和出口路由器的网络地址；

入口路由器接收路由网络中各路由器返回的二维通告响应，所述二维通告响应中携带各路由器的路径权值和安全权值；

根据所述路径权值和安全权值计算出综合权值最优的传输路径；

通过所述传输路径传递数据报文；所述传输路径上的路由器均有所述路由网络中的链路状态信息。

2.根据权利要求1所述的方法，其特征在于，所述根据所述路径权值和安全权值计算出综合权值最优的传输路径，具体包括：

依据路由器中记录的邻居路由器信息，建立路径二叉树，所述路径二叉树中节点间的距离由所述路径权值表示；

根据所述路径二叉树，计算从入口路由器到出口路由器的一条或者多条传输路径的路径距离；

获取在相应传输路径上的路由器的安全权值，将所述安全权值累加到对应传输路径的路径距离，得到该传输路径的综合权值；

比较各传输路径的综合权值得到对应最优的传输路径。

3.根据权利要求2所述的方法，其特征在于，所述通过所述传输路径传递所述数据报文，具体包括：

所述传输路径上的路由器，接收所述数据报文；

获取所述数据报文中携带的源前缀和目的前缀；

匹配所述目的前缀和源前缀，以便确认对应所述目的前缀和源前缀的传输路径；

校验所述源前缀的安全性，校验通过时向所述传输路径中自身的下游路由器转发所述数据报文。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

路由网络中路由器接收到所述二维通告报告；

校验所述源前缀的安全性，并在校验不通过时，返回携带校验不通过信息的二维通告响应给所述入口路由器。

5.根据权利要求1所述的方法，其特征在于，所述路由网络中的各路由器的安全权值，具体为：

由操作人员根据各路由器的安全等级，设置相应的安全值。

6.根据权利要求1－5任一所述的方法，其特征在于，所述入口路由器和所述出口路由器的网络地址，具体为：

所述入口路由器的网络地址由入口路由器的IP地址字段和入口路由器的IP地址掩码字段构成；

所述出口路由器的网络地址由出口路由器的IP地址字段和出口路由器的IP地址掩码字段构成。

7.根据权利要求1所述的方法，其特征在于，路由网络中的各路由器根据安全等级设置有各自的安全权值，所述方法还包括：

出口路由器接收传输路径上路由器传递过来的数据报文；

获取所述数据报文中携带的源前缀和目的前缀；

校验所述源前缀对应的路由器的安全性；

确认安全性可靠时，转发所述数据报文给目的终端。

8.根据权利要求7所述的方法，其特征在于，所述校验所述源前缀的安全性，具体包括：

根据所述源前缀，遍历所述出口路由器中存储的黑名单；

当在所述黑名单中查找到所述源前缀时，则确认所述源前缀对应的路由器的安全性是不可靠的；

当在所述黑名单中未查找到所述源前缀时，则确认所述源前缀对应的路由器的安全性是可靠的。

9.根据权利要求8所述的方法，其特征在于，当目的终端上报发送所述数据报文的入口路由器的有安全性问题时，所述方法还包括：

所述出口路由器在所述存储的黑名单中记录所述源前缀。